首页 / 更多教程 / SpringBoot集成Spring Security（1）——入门程序

SpringBoot集成Spring Security（1）——入门程序

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了SpringBoot集成Spring Security（1）——入门程序，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含9853字，纯文字阅读大概需要15分钟。

内容图文

因为项目需要，第一次接触 Spring Security，早就听闻 Spring Security 功能强大但上手困难，学习了几天出入门道，特整理这篇文章希望能让后来者少踩一点坑（本文附带实例程序，请放心食用）

本篇文章环境：SpringBoot 2.0 + Mybatis + Spring Security 5.0

源码地址：https://github.com/jitwxs/blog_sample
文章目录

一、导入依赖
二、创建数据库
三、准备页面
四、配置application.properties
五、创建实体、Dao、Service和Controller
5.1 实体
5.2 Dao
5.3 Service
5.4 Controller
六、配置SpringSecurity
6.1 UserDetailsService
6.2 WebSecurityConfig
七、运行程序
一、导入依赖

导入 spring-boot-starter-security 依赖，在 SpringBoot 2.0 环境下默认使用的是 5.0 版本。

<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>

<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-test</artifactId>
<scope>test</scope>
</dependency>

<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-security</artifactId>
</dependency>

<dependency>
<groupId>org.mybatis.spring.boot</groupId>
<artifactId>mybatis-spring-boot-starter</artifactId>
<version>1.3.1</version>
</dependency>

<dependency>
<groupId>mysql</groupId>
<artifactId>mysql-connector-java</artifactId>
</dependency>

二、创建数据库

一般权限控制有三层，即：用户<–>角色<–>权限，用户与角色是多对多，角色和权限也是多对多。这里我们先暂时不考虑权限，只考虑用户<–>角色。

创建用户表sys_user：

CREATE TABLE `sys_user` (
`id` int(11) NOT NULL AUTO_INCREMENT,
`name` varchar(255) NOT NULL,
`password` varchar(255) NOT NULL,
PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

创建权限表sys_role：

CREATE TABLE `sys_role` (
`id` int(11) NOT NULL,
`name` varchar(255) NOT NULL,
PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

创建用户-角色表sys_user_role：

CREATE TABLE `sys_user_role` (
`user_id` int(11) NOT NULL,
`role_id` int(11) NOT NULL,
PRIMARY KEY (`user_id`,`role_id`),
KEY `fk_role_id` (`role_id`),
CONSTRAINT `fk_role_id` FOREIGN KEY (`role_id`) REFERENCES `sys_role` (`id`) ON DELETE CASCADE ON UPDATE CASCADE,
CONSTRAINT `fk_user_id` FOREIGN KEY (`user_id`) REFERENCES `sys_user` (`id`) ON DELETE CASCADE ON UPDATE CASCADE
) ENGINE=InnoDB DEFAULT CHARSET=utf8;

初始化一下数据：

INSERT INTO `sys_role` VALUES ('1', 'ROLE_ADMIN');
INSERT INTO `sys_role` VALUES ('2', 'ROLE_USER');

INSERT INTO `sys_user` VALUES ('1', 'admin', '123');
INSERT INTO `sys_user` VALUES ('2', 'jitwxs', '123');

INSERT INTO `sys_user_role` VALUES ('1', '1');
INSERT INTO `sys_user_role` VALUES ('2', '2');

博主有话说：

这里的权限格式为ROLE_XXX，是Spring Security规定的，不要乱起名字哦。
三、准备页面

因为是示例程序，页面越简单越好，只用于登陆的login.html以及用于登陆成功后的home.html，将其放置在 resources/static 目录下：

(1)login.html：

<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>登陆</title>
</head>
<body>
<h1>登陆</h1>
<form method="post" action="/login">
<div>
用户名：<input type="text" name="username">
</div>
<div>
密码：<input type="password" name="password">
</div>
<div>
<button type="submit">立即登陆</button>
</div>
</form>
</body>
</html>

博主有话说：

用户的登陆认证是由Spring Security进行处理的，请求路径默认为/login，用户名字段默认为username，密码字段默认为password
(2)home.html：

<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>Title</title>
</head>
<body>
<h1>登陆成功</h1>
<a href="/admin">检测ROLE_ADMIN角色</a>
<a href="/user">检测ROLE_USER角色</a>
<button onclick="window.location.href='/logout'">退出登录</button>
</body>
</html>

四、配置application.properties

在配置文件中配置下数据库连接：

spring.datasource.driver-class-name=com.mysql.jdbc.Driver
spring.datasource.url=jdbc:mysql://localhost:3306/security?useUnicode=true&characterEncoding=utf-8&useSSL=true
spring.datasource.username=root
spring.datasource.password=root

#开启Mybatis下划线命名转驼峰命名
mybatis.configuration.map-underscore-to-camel-case=true

五、创建实体、Dao、Service和Controller

5.1 实体

(1)SysUser

public class SysUser implements Serializable{
static final long serialVersionUID = 1L;

private Integer id;

private String name;

private String password;

// 省略getter/setter
}

(2)SysRole

public class SysRole implements Serializable {
static final long serialVersionUID = 1L;

private Integer id;

private String name;

// 省略getter/setter
}

(3)SysUserRole

public class SysUserRole implements Serializable {
static final long serialVersionUID = 1L;

private Integer userId;

private Integer roleId;

// 省略getter/setter
}

5.2 Dao

(1)SysUserMapper

@Mapper
public interface SysUserMapper {
@Select("SELECT * FROM sys_user WHERE id = #{id}")
SysUser selectById(Integer id);

@Select("SELECT * FROM sys_user WHERE name = #{name}")
SysUser selectByName(String name);
}

(2)SysRoleMapper

@Mapper
public interface SysRoleMapper {
@Select("SELECT * FROM sys_role WHERE id = #{id}")
SysRole selectById(Integer id);
}

(3)SysUserRoleMapper

@Mapper
public interface SysUserRoleMapper {
@Select("SELECT * FROM sys_user_role WHERE user_id = #{userId}")
List<SysUserRole> listByUserId(Integer userId);
}

5.3 Service

(1)SysUserService

@Service
public class SysUserService {
@Autowired
private SysUserMapper userMapper;

public SysUser selectById(Integer id) {
return userMapper.selectById(id);
}

public SysUser selectByName(String name) {
return userMapper.selectByName(name);
}
}

(2)SysRoleService

@Service
public class SysRoleService {
@Autowired
private SysRoleMapper roleMapper;

public SysRole selectById(Integer id){
return roleMapper.selectById(id);
}
}

(3)SysUserRoleService

@Service
public class SysUserRoleService {
@Autowired
private SysUserRoleMapper userRoleMapper;

public List<SysUserRole> listByUserId(Integer userId) {
return userRoleMapper.listByUserId(userId);
}
}

5.4 Controller

@Controller
public class LoginController {
private Logger logger = LoggerFactory.getLogger(LoginController.class);

@RequestMapping("/")
public String showHome() {
String name = SecurityContextHolder.getContext().getAuthentication().getName();
logger.info("当前登陆用户：" + name);

return "home.html";
}

@RequestMapping("/login")
public String showLogin() {
return "login.html";
}

@RequestMapping("/admin")
@ResponseBody
@PreAuthorize("hasRole('ROLE_ADMIN')")
public String printAdmin() {
return "如果你看见这句话，说明你有ROLE_ADMIN角色";
}

@RequestMapping("/user")
@ResponseBody
@PreAuthorize("hasRole('ROLE_USER')")
public String printUser() {
return "如果你看见这句话，说明你有ROLE_USER角色";
}
}

博主有话说：

如代码所示，获取当前登录用户：SecurityContextHolder.getContext().getAuthentication()
@PreAuthorize 用于判断用户是否有指定权限，没有就不能访问
六、配置SpringSecurity

6.1 UserDetailsService

首先我们需要自定义 UserDetailsService ，将用户信息和权限注入进来。

我们需要重写 loadUserByUsername 方法，参数是用户输入的用户名。返回值是UserDetails，这是一个接口，一般使用它的子类org.springframework.security.core.userdetails.User，它有三个参数，分别是用户名、密码和权限集。

实际情况下，大多将 DAO 中的 User 类继承 org.springframework.security.core.userdetails.User 返回。

@Service("userDetailsService")
public class CustomUserDetailsService implements UserDetailsService {
@Autowired
private SysUserService userService;

@Autowired
private SysRoleService roleService;

@Autowired
private SysUserRoleService userRoleService;

@Override
public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
Collection<GrantedAuthority> authorities = new ArrayList<>();
// 从数据库中取出用户信息
SysUser user = userService.selectByName(username);

// 判断用户是否存在
if(user == null) {
throw new UsernameNotFoundException("用户名不存在");
}

// 添加权限
List<SysUserRole> userRoles = userRoleService.listByUserId(user.getId());
for (SysUserRole userRole : userRoles) {
SysRole role = roleService.selectById(userRole.getRoleId());
authorities.add(new SimpleGrantedAuthority(role.getName()));
}

// 返回UserDetails实现类
return new User(user.getName(), user.getPassword(), authorities);
}
}

6.2 WebSecurityConfig

该类是 Spring Security 的配置类，该类的三个注解分别是标识该类是配置类、开启 Security 服务、开启全局 Securtiy 注解。

首先将我们自定义的 userDetailsService 注入进来，在 configure() 方法中使用 auth.userDetailsService() 方法替换掉默认的 userDetailsService。

这里我们还指定了密码的加密方式（5.0 版本强制要求设置），因为我们数据库是明文存储的，所以明文返回即可，如下所示：

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {
@Autowired
private CustomUserDetailsService userDetailsService;

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.userDetailsService(userDetailsService).passwordEncoder(new PasswordEncoder() {
@Override
public String encode(CharSequence charSequence) {
return charSequence.toString();
}

@Override
public boolean matches(CharSequence charSequence, String s) {
return s.equals(charSequence.toString());
}
});
}

@Override
protected void configure(HttpSecurity http) throws Exception {
http.authorizeRequests()
// 如果有允许匿名的url，填在下面
// .antMatchers().permitAll()
.anyRequest().authenticated()
.and()
// 设置登陆页
.formLogin().loginPage("/login")
// 设置登陆成功页
.defaultSuccessUrl("/").permitAll()
// 自定义登陆用户名和密码参数，默认为username和password
// .usernameParameter("username")
// .passwordParameter("password")
.and()
.logout().permitAll();

// 关闭CSRF跨域
http.csrf().disable();
}

@Override
public void configure(WebSecurity web) throws Exception {
// 设置拦截忽略文件夹，可以对静态资源放行
web.ignoring().antMatchers("/css/**", "/js/**");
}
}

　　 SpringBoot集成Spring Security（1）——入门程序 - 文章图片

七、运行程序

ROLE_ADMIN 账户：用户名 admin，密码 123
ROLE_USER 账户：用户名 jitwxs，密码 123

SpringBoot集成Spring Security（1）——入门程序 - 文章图片
注：如果你想要将密码加密，可以修改 configure() 方法如下：

@Override
protected void configure(AuthenticationManagerBuilder auth) throws Exception {
auth.userDetailsService(userDetailsService)
.passwordEncoder(new BCryptPasswordEncoder());
}

---------------------
作者：Jitwxs
来源：CSDN
原文：https://blog.csdn.net/yuanlaijike/article/details/80249235
版权声明：本文为博主原创文章，转载请附上博文链接！

内容总结

以上是互联网集市为您收集整理的SpringBoot集成Spring Security（1）——入门程序全部内容，希望文章能够帮你解决SpringBoot集成Spring Security（1）——入门程序所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/829649.html

来源：【匿名】

【上一篇】F-神殿-2018年第二届河北省大学生程序设计竞赛【下一篇】关于IE的RegExp.exec的问题

更多 ►

【SpringBoot集成Spring Security（1）——入门程序】教程文章相关的互联网学习教程文章

spring security 自定义退出策略【图】

项目需要，要求登录用户非空闲状态，不可退出。说白了就是，在退出的时候增加逻辑判断，如果状态为非空，就不让其退出。仔细查看spring security文档，发现这个框架里维护了一个过滤器链，来提供服务。而我退出策略用的是LogoutFilter，框架默认提供的过滤器。代码如下： <sec:http use-expressions="false" auto-config="true"entry-point-ref="loginUrlAuthenticationEntryPoint"><sec:intercept-url pattern='/**' access='RO...

spring security控制session

spring security控制session本文给你描述在spring security中如何控制http session。包括session超时、启用并发session以及其他高级安全配置。创建session时机我们可以准确地控制什么时机创建session，有以下选项进行控制：always – 如果session不存在总是需要创建； ifRequired – 仅当需要时，创建session(默认配置)； never – 框架从不创建session，但如果已经存在，会使用该session ； stateless – Spring Security不会创建...

权限-基于内存的方式实现security（三）【代码】【图】

新建springboot项目相关依赖<dependencies><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-web</artifactId></dependency><dependency><groupId>org.projectlombok</groupId><artifactId>lombok</artifactId><optional>true</optional></dependency><dependency><groupId>org.springframework.boot</groupId><artifactId>spring-boot-starter-tomcat</artifactId><scope>provided</scop...

关于sql连接语句中的Integrated Security=SSPI相关解释【代码】

关于sql连接语句中的Integrated Security=SSPI相关解释 server=localhost;database=Student; integrated security=SSPI;指你使用windows自带的安全验证机制，这时你不用加uid和password也可以打开数据库,如果你没有那一句的话，就必须在联接字符串里写上uid=sa;password=00;否则你不能打开数据库. Integrated Security(集成安全或综合安全)，可识别的值为true、false、yes、no以及与true等效的SSPI. 它身份验证方式: 当为false时，...

App Transport Security(ATS) | 南峰子的技术博客

最近下载iOS 9 GM版，然后跑了下我们的应用，发现有些网络请求失效了。先前在WWDC 2015上了解到iOS 9将要求网络请求使用HTTPS协议，但一直没有在iOS 9 beta版上跑过。现在这个问题突显出来了，所以搜了一些博文研究了一下。我们知道，Apple在安全及用户隐私方面做了很多工作，包括沙盒机制、代码签名、禁用私有API等。而在今年6月份的WWDC 2015上，Apple又提出了App Transport Security(ATS)的概念。这一特性的主要意图是为我们的A...

Spring security OAuth2.0认证授权学习第三天(认证流程)【代码】【图】

Spring security OAuth2.0认证授权学习第三天(认证流程) 本来之前打算把第三天写基于Session认证授权的,但是后来视屏看完后感觉意义不大,而且内容简单,就不单独写成文章了; 简单说一下吧,就是通过Servlet的SessionApi 通过实现拦截器的前置拦截通过setAttr..放入session中会话中通过getAttr获取获取不到跳转到登录页面获取到就判断权限,查看是否有某些特定的权限标识, 如果有就放行,没有就返回无权限好了说完了; 下面说Spring...

Database Security: Database Vulnerability

As more and more databases are made accessible via the Internet and web-based applications, their exposure to security threats will rise. The objective is to reduce susceptibility to these threats. Perhaps the most publicized database application vulnerability has been the SQL injection. SQL injections provide excellent examples for discussing security as they embody one of the most important d...

使用Spring Security 3登录处理程序处理失败的登录通知【代码】

在我的应用程序中,我想为我的用户增加一个失败的登录尝试计数器,并使用Spring Security版本3.1.4.RELEASE在达到一定的尝试计数时将其锁定. 我已经成功实现了一个简单的登录成功通知处理程序,该处理程序将计数器重置为零并将此状态保存在数据库中,如下所示.public class BitfoodLoginSuccessHandler extends BitfoodAuthHandler implements AuthenticationSuccessHandler {@Overridepublic void onAuthenticationSuccess(HttpServle...

Spring Security之AuthenticationManager、ProviderManager、AuthenticationProvider用户认证源码分析【代码】

Spring Security之AuthenticationManager、ProviderManager、AuthenticationProvider用户认证源码分析 AuthenticationManager类源码解析 public interface AuthenticationManager {Authentication authenticate(Authentication authentication)throws AuthenticationException; }AuthenticationManager是一个顶级接口，用来处理身份验证请求，并返回一个Authentication对象，如果发生异常将会抛出AuthenticationException； Authen...

Spring Security 入门 (二) 我们在篇(一)中已经谈到了默认的登录页面以及默认的登录账号和密码。在这一篇中我们将自己定义登录页面及账号密码。我们先从简单的开始吧：设置自定义的账号和密码(并非从数据库读取)，虽然意义不大。上一篇中，我们仅仅重写了 configure(HttpSecurity http) 方法，该方法是用于完成用户授权的。为了完成自定义的认证，我【图】

Spring Security 入门 (二) 我们在篇(一)中已经谈到了默认的登录页面以及默认的登录账号和密码。在这一篇中我们将自己定义登录页面及账号密码。我们先从简单的开始吧：设置自定义的账号和密码(并非从数据库读取)，虽然意义不大。上一篇中，我们仅仅重写了 configure(HttpSecurity http) 方法，该方法是用于完成用户授权的。为了完成自定义的认证，我标签：技术自己读取认证自定义方法密码 ring i...

Jersey(1.19.1) - Security with Http(s)URLConnection

With Http(s)URLConnectionThe support for security, specifically HTTP authentication and/or cookie management with Http(s)URLConnection is limited due to constraints in the API. There are currently no specific features or properties on the Client class that can be set to support HTTP authentication. However, since the client API, by default, utilizes HttpURLConnection or HttpsURLConnection, it is p...

Spring security OAuth2.0认证授权学习第一天(基础概念-认证授权会话)【图】

Spring security OAuth2.0认证授权学习第一天(基础概念-认证授权会话) 这段时间没有学习,可能是因为最近工作比较忙,每天回来都晚上11点多了,但是还是要学习的,进过和我的领导确认,在当前公司的技术架构方面,将持续使用Spring security,暂不做Shiro的考虑,所以决定先学习Spring security; 因为是从网上学习可能大多数描述就直接截图了,手敲的话太肥时间了; 1:基本概念1.1 : 什么是认证　1.2: 什么是会话 ...

【源码解析】Spring Boot中Security关于BCryptPasswordEncoder的使用【图】

前言 SpringSecurity中有一个升级版的消息--BCryptPasswordEncoder，使用相同的明文，生成的新的加密字符串都是不一样的，这与我们常见的加密算法MD5是不同的，MD5加密的话，只要是相同的salt和原密码，加密后产生的密串都是一致的。关于MD5 MD5的典型应用是对一段信息（Message）产生信息摘要（Message-Digest），以防止被篡改。比如，在UNIX下有很多软件在下载的时候都有一个文件名相同，文件扩展名为.md5的文件...